TARA[VisualPro Tech Brief] 내비게이션 루트 탈취 뉴스, TARA로 보면 위험은 얼마일까

VisualPro Tech Brief

내비게이션 루트 탈취 뉴스, TARA로 보면 위험은 얼마일까

같은 약점도 공개 여부와 차량 구성에 따라 위험이 달라집니다 — 공격 경로·공격 실현 가능성·위험 등급으로 다시 읽기

구분

VWAY 기술자료

발행일

2026. 11. 9

읽는 시간

약 7분

ISO/SAE 21434TARA공격 실현 가능성공격 경로헤드유닛사이버보안 목표

01요약

02시계 하나 고치려다 root를 얻은 연구

에스토니아의 연구자 Rasmus Moorats는 11월 2일 개인 블로그에 2014년식 르노 Latitude의 순정 내비게이션(TomTom Carminat LIVE)에서 root 권한을 얻은 과정을 공개했습니다. 서머타임이 끝나 시계가 한 시간 틀렸는데, 시간 설정 메뉴가 정품 지도 SD카드를 꽂아야만 열렸습니다. 카드를 다시 사는 데 약 60유로가 들어 직접 풀어 보기로 한 것이 시작이었습니다.

이 기기는 Linux 2.6.28.10 기반이지만 방어가 없지는 않았습니다. 업데이트 이미지에는 서명이 있었고, 루트 파일 시스템은 읽기 전용, 나머지 파티션도 대부분 실행 금지였습니다. SD카드에는 카드 고유번호로 검사하는 DRM이 걸려 있었습니다. 연구자가 찾은 길은 부팅 때 SD카드의 스크립트(master.script)를 읽는 기능이었습니다. 운전자가 "실행할까요?" 확인 창에서 "예"를 누르면 이 스크립트를 root 권한의 해석기가 처리합니다.

약점은 두 개였습니다. 스크립트의 LOG 명령은 파일 경로를 검사하지 않아 정해진 폴더 밖에도 글을 쓸 수 있었습니다. SHEX 명령은 프로그램을 실행하지만 인자를 넘기지 못했습니다. 연구자는 LOG로 커널 설정 core_pattern을 덮어써 "프로그램이 비정상 종료되면 SD카드의 스크립트를 실행하라"고 바꿨습니다. 이어 SHEX로 dbus-monitor를 실행해 일부러 비정상 종료시켰고, 커널이 그 스크립트를 root로 실행했습니다. 연구자는 내부 저장소 전체를 백업하고 설정 파일의 시간대 값을 고쳐 시계를 맞췄습니다.

03"root를 얻었다"를 두 축으로 나누기

ISO/SAE 21434의 TARA는 위협 하나를 두 가지로 따로 평가합니다. 하나는 공격이 얼마나 쉬운가를 나타내는 공격 실현 가능성이고, 다른 하나는 성공했을 때 안전·재무·운영·개인정보에 생기는 피해입니다. 위험 등급은 이 둘을 함께 놓고 정합니다. "root 권한"은 공격의 중간 단계일 뿐이라 그 자체로는 등급이 나오지 않습니다.

예제는 VisualPro TARA에 교육용 가상 헤드유닛 하나를 만들고, 차량 구성을 두 가지로 가정했습니다. 구성 A는 헤드유닛이 차량 네트워크에서 정보를 받기만 합니다. 구성 B는 헤드유닛이 게이트웨이를 거쳐 차량 제어 도메인에 메시지를 보낼 수 있습니다. 공격자는 렌터카나 공유차를 빌린 사람으로 정했습니다. 이 사람은 차 안에 오래 머물 수 있고, 확인 창도 스스로 누릅니다.

04약점 두 개를 엮은 공격 경로

연구자의 방법은 어느 한 단계만으로는 성공하지 못합니다. VisualPro에서는 이런 경로를 AND로 묶어 그립니다. 위협 TH-1(연락처·위치 이력 복사)에는 경로를 두 개 두었습니다. AP-1은 연구자처럼 펌웨어를 직접 분석해 체인을 찾아내는 경로입니다. AP-2는 공개된 글을 보고 그대로 따라 하는 경로입니다.

두 경로에는 같은 단계가 하나 있습니다. "차 안에서 SD카드를 꽂고 실행 확인 창을 승인"입니다. 확인 창은 남의 차에 몰래 SD카드를 꽂는 공격에는 꽤 쓸모 있는 방어입니다. 하지만 공격자가 운전석에 앉은 사람 자신이면 확인 창은 공격을 막지 못합니다. 렌터카 이용자, 중고차를 산 사람, 차를 맡긴 정비소 직원이 그런 경우입니다.

05공개가 실현 가능성을 바꾼다

VisualPro의 공격 잠재력 방식은 다섯 항목의 점수를 더합니다. 소요 시간, 전문 지식, 아이템 지식, 공격 대상 접근 난이도, 장비입니다. 합계가 낮을수록 공격이 쉽고, 0~13점은 High, 14~19점은 Medium, 20~24점은 Low, 25점 이상은 Very Low입니다.

차이는 장비나 접근 조건이 아니라 지식에서 났습니다. 연구자가 펌웨어 분석과 에뮬레이터 구축까지 하며 찾은 길이 글 한 편으로 공개되면, 다음 사람은 하루 만에 따라 할 수 있습니다. 위협의 실현 가능성은 보통 여러 경로 중 가장 쉬운 경로를 따릅니다. VisualPro도 그렇게 집계해 TH-1의 최종 공격 실현 가능성을 High로 계산했습니다. TARA를 처음 작성할 때 AP-1만 있었다면 TH-1의 위험 등급은 1이었을 것입니다. 연구가 공개된 뒤 AP-2를 추가하자 4가 되었습니다.

06가장 높은 위험은 차량 제어가 아니었다

결과는 직관과 조금 다릅니다. 위험 등급이 가장 높은 것은 TH-1, 이전 이용자의 개인정보 유출입니다. 공개된 절차만으로 끝나는 공격이라 실현 가능성이 High이기 때문입니다. 구성 B의 TH-3은 피해가 Severe인데도 위험 등급이 3입니다. 헤드유닛 root까지는 공개된 절차로 가지만, 게이트웨이가 통과시키는 메시지 형식을 알아내려면 기밀 정보와 전용 장비, 전문가의 시간이 필요합니다. 그래서 합계가 22점(Low)이 되었습니다.

그렇다고 TH-3을 뒤로 미뤄도 된다는 뜻은 아닙니다. TH-3의 공격 경로에서 첫 단계는 이미 누구나 할 수 있습니다. 남은 방어선은 게이트웨이 하나입니다. 게이트웨이의 메시지 규칙이 유출되거나 다른 연구로 공개되면, TH-1과 같은 방식으로 실현 가능성이 한 번에 올라갑니다. 구성 A라면 TH-3은 처음부터 없습니다. 같은 헤드유닛이라도 차량 구성이 피해의 상한을 정합니다.

07사이버보안 목표는 공통 단계에 건다

목표는 세 개를 두었습니다. SG-1 "출처가 검증되지 않은 이동식 저장매체의 스크립트를 실행하지 않는다"는 네 경로에 모두 들어 있는 단계를 막습니다. 원래 기기는 업데이트 이미지에는 서명을 요구했지만, 부팅 때 읽는 스크립트는 운전자 확인만 거쳐 root 권한으로 처리했습니다. SG-2는 이용자가 바뀌는 차량의 개인 데이터를, SG-3은 구성 B의 게이트웨이 경계를 맡습니다. SG-1이 깨져도 SG-2와 SG-3이 피해를 줄이도록 목표를 겹쳐 둔 것입니다.

08우리 제품에 적용할 다섯 가지 점검

• 이동식 매체와 진단 입력의 권한: SD카드, USB, 진단 포트로 들어온 파일을 어떤 프로세스가 어떤 권한으로 처리하는지 목록으로 만듭니다. root로 처리된다면 그 경로에 서명 검증이 있는지 확인합니다.
• 확인 창을 방어로 세는 조건: 사용자 승인을 보안 통제로 셀 때, 승인하는 사람이 공격자 자신일 수 있는지 따져 봅니다. 렌터카, 공유차, 중고차, 정비 입고 차량이 대표적인 예입니다.
• 공개 연구가 나오면 경로 추가: 기존 경로의 점수를 고치기보다 "공개 후" 경로를 따로 추가합니다. 지식, 전문성, 소요 시간을 다시 매기면 위협의 실현 가능성이 자동으로 바뀝니다.
• 헤드유닛 침해를 전제로 한 경계: 헤드유닛이 차량 제어 도메인에 메시지를 보낼 수 있는지 구성부터 확인합니다. 보낼 수 있다면 게이트웨이 허용 목록이 마지막 방어선인지 봅니다.
• 이용자가 바뀌는 차량의 개인 데이터: 연락처와 위치 이력이 이용자 전환 때 지워지거나 암호화되는지 확인합니다. 이 예제에서 위험 등급이 가장 높았던 곳입니다.

09자주 묻는 질문